イラン政府が支援する脅威グループ「Prince of Persia」が今年、数カ月にわたる活動停止を経て、米国内からコマンド＆コントロール（C&C）サーバーの1台を運用していたことが、Semperisの調査で明らかになりました。
このAPTアクターは「Infy」とも呼ばれ、約20年にわたって活動を続けています。主な標的はイランの反体制派で、米国、欧州、中東の政府機関や民間組織も狙っています。
Semperisでセキュリティリサーチ担当AVPを務めるTomer Bar氏は、前職のSafeBreachでこのグループを追跡していました。同氏によると、SafeBreachが2026年2月にレポートを公表してから1週間以内に、攻撃者はC&Cサーバー1台をオフラインにし、その後、残りのサーバーも移設したということです。
Prince of Persiaはその後、3カ月間にわたって活動を停止しました。これは、約20年に及ぶ同グループの歴史の中で最長の沈黙です。この停止期間は、2月28日に勃発したイランと米国・イスラエルとの戦争の時期と重なります。
SemperisはSecurityWeekに対し、研究者が同グループのインフラを常時監視していたため、確認できた中では今回が最長の活動停止期間だと説明しました。過去の沈黙期間は、実際に活動がなかったことを確認したものではなく、研究者がグループの活動を把握しきれていなかっただけだったとしています。
Prince of Persiaは5月27日、新しいC&Cサーバーを展開して活動を再開し、データの窃取も再び始めました。7日以内に、同グループのマルウェアファミリーの1つ「Tonnerre」が、1人の被害者から1,800件を超えるファイルを抜き取っています。
Bar氏は、被害者数は依然として少ないと指摘します。その理由として、標的を絞った攻撃を行っているか、新たなシステムへの侵入に苦戦している可能性があるとみています。
8月にBar氏は、7月7日に構築されたとみられる新たなサーバーを特定しました。このサーバーは「Tornado」の第2段階を支えるものです。Tornadoは同グループの最新のマルウェアファミリーで、Telegramボットを通じたファイルの窃取などの機能を備えています。
Bar氏によると、このサーバーは米国内にありました。同グループが米国内にC&Cサーバーを置いたのは、2016年以来初めてです。
「国家支援の脅威グループが、クラウドインフラやWebホスティング事業者を使って米国内にC2サーバーを隠すことは珍しくありません。しかし、この攻撃者としては異例の行動です」とBar氏は指摘します。
今回、攻撃者はプロバイダーを切り替えました。また、仮想プライベートサーバー（VPS）をやめ、Namecheapの共有ホスティングを利用しています。同サービスには、正規サイトや他の脅威アクターが運用するサイトを含め、数千ものドメインが同居しています。
「Prince of Persiaが潜んでいるとは、最も予想していなかった場所です」とBar氏は語りました。
8月24日、同グループはCloudflareの背後に隠した、Tornadoの第2段階用サーバーをもう1台構築し始めました。Semperisは、米国内にホストしたサーバーが露見したと攻撃者が気づいたのではないかとみています。
Semperisは、Prince of Persiaのインフラに関連するIoCを公開しています。同社は、これらを自社のセキュリティツールに登録し、不審なTelegram通信にも注意するよう呼びかけています。
翻訳元: https://www.securityweek.com/irans-prince-of-persia-apt-hosts-cc-in-us-for-first-time-since-2016/
